සලකුණු පාදක VPN ෆයර්වෝලයක් අවහිර කරන libvirt අමුත්තන්ගේ DNS නිවැරදි කිරීම

පෙරනිමි libvirt ජාලයේ අමුත්තන් WireGuard අතුරුමුව පැමිණෙන තෙක් නම් නිවැරදිව විසඳයි, ඉන්පසු සෑම සෙවුමක්ම එකම තැනක නතර වේ. dnsmasq තවමත් 192.168.122.1:53 මත සවන් දෙමින් සිටී, අමුත්තාට තවමත් එම ලිපිනයම විසඳන්නා ලෙස ඇත, විමසුම තවමත් පැමිණේ. වෙනස් වී ඇත්තේ සත්කාරකයේම ඉහළ විමසුම, හෝ එයට ලැබෙන පිළිතුර, දැන් ඔබ සංස්කරණය කරනු ඇතැයි සිතන කිසිදු පෙරහන් දාමයකට පෙර ඇගයෙන රීතියකින් ඉවත් කරන බවයි. පිටවීමේ මාර්ගය වන්නේ ප්‍රමාණවත් තරම් කලින් යොදන ලද සලකුණක්, පිළිතුර උරුම කරගන්නා සම්බන්ධතාවයක් මත.

උමං මාර්ගය ඉහළ යන මොහොතේම අමුත්තන්ට DNS අහිමි වේ

කිසිවක් වෙනස් කිරීමට පෙර හැඩය තහවුරු කරන්න. උමං මාර්ගය පහළ දමන්න, අමුත්තෙකුගෙන් dig @192.168.122.1 example.com ධාවනය කර එය පිළිතුරු දෙන ආකාරය බලන්න. උමං මාර්ගය ඉහළ දමන්න, නැවත කරන්න, එය කාලය ඉකුත් වන ආකාරය බලන්න. එම ප්‍රතිඵල යුගලය කැඩුණු libvirt ජාලයක්, වැරදි විසඳන්නා ලිපිනයක් සහ මළ dnsmasq එකක් එකම පියවරකින් ඉවත් කරයි.

ඉන්පසු සත්කාරකයේ පැත්ත බලන්න. dnsmasq විමසුම සහ එහි ඉහළ යැවීම සටහන් කරයි නම්, පැකැට්ටුව පැමිණ ඇති අතර අසාර්ථකත්වය පිටවීමේ ඇත. dnsmasq කිසිවක් සටහන් නොකරයි නම්, අමුත්තාගේ විමසුම ඇතුළුවීමේදීම ඉවත් වන අතර ව්‍යතිරේකය මෙම ලිපිය සලකුණු කරන hook එකට වඩා වෙනස් hook එකකට අයත් වේ.

පසුව එන දාමයක ඇති accept රීතිය කිසිදා නොගැලපෙන්නේ ඇයි

සලකුණු පාදක VPN ෆයර්වෝලයක් තීරණය කරන්නේ ඔබේ මූලාශ්‍ර ලිපිනය නොව පැකැට්ටු සලකුණ හෝ සම්බන්ධතා සලකුණ දෙස බලමිනි. භෞතික අතුරුමුවට අපේක්ෂිත සලකුණකින් තොරව පැමිණෙන සියල්ල ප්‍රතික්ෂේප වන අතර, එම ප්‍රතික්ෂේපය සලකුණු පරීක්ෂාව හිමි රීති කට්ටලයේ සිදු වේ. ip saddr 192.168.122.0/24 accept පේළියක් පසුව එන කිසිදු දාමයකට එකතු කළත් එම පැකැට්ටුව සඳහා එය කිසිදා සලකා නොබලයි, එබැවින් පැහැදිලි රීතිය නිවැරදි ලෙස පෙනුණත් කිසිවක් වෙනස් නොකරයි.

යමක් වැඩ කරන තෙක් එය පුළුල් කිරීම දෙවන උගුලයි. සත්කාරකයේ ඇතුළුවීමේ මාර්ගයේ සම්පූර්ණ libvirt උපජාලය පිළිගැනීම අමුත්තන්ට සත්කාරකයේ සෑම සේවාවක්ම විවෘත කරයි, අවශ්‍යතාවය ඇත්තේ එක් වරායක් පමණ වන විට.

පටු ව්‍යතිරේකයක් කළ හැකි කරන යාන්ත්‍රණය සම්බන්ධතා ලුහුබැඳීමයි. ඔබ පැකැට්ටුවක ct mark සකසන විට, අගය පැකැට්ටුවට පමණක් නොව conntrack සටහනට ගබඩා වේ, එබැවින් එම සම්බන්ධතාවයේ සෑම පැකැට්ටුවක්ම පසුව එය රැගෙන යයි, සත්කාරකයේ සිට අමුත්තා වෙත ආපසු යන පිළිතුරද ඇතුළුව. එයයි සම්පූර්ණ උපක්‍රමය: ඉල්ලීම එක් වරක් සලකුණු කරන්න, ආපසු යන මාර්ගය දැනටමත් සලකුණු කර ඇත.

VPN වගුව එය දකින්නට පෙර විමසුම සලකුණු කරන්න

පසුව එන පාඨකයෙකුට VPN රීති විග්‍රහ නොකර එය සොයා ගැනීමට හැකි වන පරිදි ව්‍යතිරේකය එහිම වෙනම වගුවක තබන්න:

table inet allowedLocal {
  chain guest_dns {
    type filter hook input priority mangle; policy accept;
    ip saddr 192.168.122.0/24 meta l4proto { tcp, udp } \
      th dport 53 ct mark set 0x00000f41
  }
}

priority mangle ඍණ වේ, එය මෙම දාමය VPN ඇසුරුම විසින් ප්‍රමුඛතා බිංදුවේ ස්ථාපනය කරන සාමාන්‍ය පෙරහන් දාමවලට ඉදිරියෙන් තබයි. hook අනුපිළිවෙලම රීතිය ඵලදායී කරයි; VPN දාමයට පසුව එන දාමයක එම රීතියම අලංකාරයක් පමණි.

සලකුණු අංකයම සර්වත්‍ර නොවේ. ස්ථාපිත VPN රීති ඒවායේම ගමන් පථය සඳහා පිළිගන්නා අගය ගන්න, එය ක්‍රියාත්මක රීති කට්ටලයෙන් කියවන්න, එයම භාවිත කරන්න. වැරදි සලකුණක් පිරිසිදුව පූරණය වන, සෑම විමසුමකටම ගැලපෙන, කිසිවක් ඇතුළට නොයවන රීතියක් නිපදවයි.

සිදුර වරාය 53 තරම් පළලින් තබන්න

ලියා ඇති පරිදි, මෙය libvirt උපජාලයේ සිට සත්කාරකයට TCP හෝ UDP වරාය 53 හරහා DNS ට ඉඩ දෙයි, අන් කිසිවකට නොවේ. එය අමුත්තන්ට උමං මාර්ගයෙන් පිටත අන්තර්ජාලයට ළඟා වීමට ඉඩ නොදෙයි, සත්කාරකයට අමුත්තන් දෙසට සම්බන්ධතා විවෘත කිරීමටද ඉඩ නොදෙයි. අමුත්තෙකුට පසුව තවත් සත්කාරක සේවාවක් අවශ්‍ය නම්, මෙම රීතිය ලිහිල් කරනවාට වඩා එම ගමනාන්ත වරාය නම් කරන වෙනම රීතියක් එකතු කරන්න.

ඔබ කුමක් මාරු කරනවාද යන්න ගැන අවංක වන්න. විසඳන්නෙකුට ළඟා විය හැකි අමුත්තෙකුට DNS විමසුම් හරහා අත්තනෝමතික දත්තද උමං කළ හැක, මෙම ව්‍යතිරේකය VPN මායිමේ හිතාමතා කළ සිදුරක් මිස ස්ථානීය ජාලය විශ්වාසදායක බවට ප්‍රකාශයක් නොවේ. මූලාශ්‍රය 192.168.122.0/24 දක්වා සීමා කිරීම එම සිදුර අනෙක් සෑම ස්ථානීය උපජාලයකින්ම ඈත් කරයි, තර්ජනය ඔබට වැදගත් නම් එම මූලාශ්‍රයට එරෙහි විමසුම් ගණන් කිරීම ලාභදායී ය.

එය නැවත ඇරඹීමෙන් පසුවත් පවතින්නට සලස්වා දෙකොටසම ඔප්පු කරන්න

shell විධාන විමසුමක ටයිප් කරන රීතියක් ඊළඟ ඇරඹීමේදී අතුරුදහන් වේ, VPN අතුරුමුව දැනටමත් ගමන් පථය යවන පසු පූරණය වන රීතියක් පළමු සම්බන්ධතාවයේදී තරඟය පරාජය වේ. වගුව සත්කාරකයේ ස්ථාවර nftables වින්‍යාසයේ තබන්න, නැතිනම් VPN සේවාවට පෙර අනුපිළිවෙලට ඇති ඒකකයක තබන්න, අනුපිළිවෙල උපකල්පනය නොකර පරීක්ෂා කරන්න.

සත්‍යාපනයට වෙනස් පිළිතුරු තුනක් අවශ්‍ය වේ. දාමය පූරණය වී පළමුව අනුපිළිවෙලට ඇති බව තහවුරු කරන්න, conntrack සටහන දෙපැත්තටම සලකුණ පෙන්වන බව තහවුරු කරන්න, අමුත්තාගේ සෙවුමක් ලිපිනයක් ලබා දෙන බව තහවුරු කරන්න. ඉන්පසු අනෙක් අර්ධය තහවුරු කරන්න: උමං මාර්ගය පහළ ඇති විට හෝ අවහිර කරන විට පොදු සත්කාරකයකට යන සාමාන්‍ය අමුත්තා වෙබ් ගමන් පථය තවමත් අසාර්ථක වේ. DNS වැඩ කර අනෙක් සියල්ල කාන්දු වේ නම්, ඔබේ රීතිය ඉහත එකට වඩා පුළුල් ය.

සලකුණ තැබූ පසුවත් සෙවුම් අසාර්ථක වේ නම්, මූලාශ්‍රය පුළුල් කිරීමේ ආශාව මැඩ ගන්න. dnsmasq කොහේට යැවෙනවාද, අමුත්තාගේ විසඳන්නා 192.168.122.1 වෙතද නැතිනම් යමෙකු ටයිප් කළ පොදු ලිපිනයකටද යන්න, විමසුම සත්කාරකයට පැමිණෙනවාද යන්න පරීක්ෂා කරන්න. සලකුණු කිරීම පැකැට්ටුව ඇතුළට යවයි, අන් කිසිවක් නොවේ, එබැවින් නරක ඉහළ මාර්ගයක් හෝ කැඩුණු අතථ්‍ය ජාලයක් කොපමණ රීති එකතු කළත් කැඩී තිබෙනු ඇත.